Chapterبەش 3 · Lectureوانە 3.3

Responsible Disclosure and Bug Bountiesئاشکراکردنی بەرپرسیارانە و خەڵاتی دۆزینەوەی باگ

What to do after finding a vulnerability: private, full and coordinated disclosure; Project Zero's $90 + 30$ days; a vulnerability's journey from discovery to report, fix and public advisory; security.txt and disclosure policies; CVE IDs; CERTs as coordinators; bug bounty programmes, platforms, scope and safe harbour; and the lecture's hospital dilemma worked through.

دوای دۆزینەوەی چی بکەیت: ئاشکراکردنی تایبەت، تەواو و هەماهەنگکراو؛ $90 + 30$ ڕۆژی ⁦Project Zero⁩؛ گەشتی لە دۆزینەوەوە بۆ ڕاپۆرت، چاککردن و ئاگاداریی گشتی؛ ⁦security.txt⁩ و سیاسەتەکانی ئاشکراکردن؛ ناسنامەکانی ؛ وەک هەماهەنگکار؛ بەرنامەکانی ، پلاتفۆرم، سنوور و ؛ و نموونەی نەخۆشخانەی وانەکە بە شیکردنەوە.

25 min read27 خولەک خوێندنەوە · 24 stepsهەنگاو

What you will learnچی فێر دەبیت

Compare private, full and coordinated disclosure, and explain why coordinated disclosure is the normal choice.
Work out disclosure dates with Project Zero's $90 + 30$ rule.
Find and write a security.txt contact, and say when to ask a CERT to coordinate.
Explain how bug bounty programmes work: scope, rewards by severity and safe harbour.
Analyse an unauthorised discovery in a hospital system: ethical aspects, legal aspects and recommended actions.

ئاشکراکردنی تایبەت، تەواو و هەماهەنگکراو بەراورد بکەیت و ڕوونی بکەیتەوە بۆچی ئاشکراکردنی هەماهەنگکراو هەڵبژاردنی ئاساییە.
ڕێکەوتەکانی ئاشکراکردن بە یاسای ⁦Project Zero⁩ ( $90 + 30$ ) بدۆزیتەوە.
پەیوەندیی ⁦security.txt⁩ بدۆزیتەوە و بنووسیت و بڵێیت کەی داوا لە بکرێت هەماهەنگی بکات.
ڕوونی بکەیتەوە بەرنامەکانی چۆن کار دەکەن: سنوور، خەڵات بەپێی ئاستی مەترسی و .
دۆزینەوەیەکی بێ ڕێگەپێدان لە سیستەمی نەخۆشخانەیەکدا شی بکەیتەوە: لایەنی ئەخلاقی، لایەنی یاسایی و ڕێکارە پێشنیارکراوەکان.

You found a hole: what now?کونێکت دۆزییەوە: ئێستا چی؟

The lecture gives a short case study. A cybersecurity professional discovers a vulnerability in a widely used piece of software. Should they disclose it publicly, or notify the vendor (the company that makes the software)? What are the legal and ethical considerations? This lesson answers that question step by step.

وانەکە نموونەیەکی کورت دەهێنێتەوە. پسپۆڕێکی لە بەربڵاودا دەدۆزێتەوە. ئایا بە ئاشکرا بڵاوی بکاتەوە، یان فرۆشیار (ئەو کۆمپانیایەی دروست دەکات) ئاگادار بکاتەوە؟ بیرکردنەوە یاسایی و ئەخلاقییەکان چین؟ ئەم وانەیە هەنگاو بە هەنگاو وەڵامی ئەم پرسیارە دەداتەوە.

There are three ways to handle a vulnerability you have found:

سێ ڕێگە هەیە بۆ مامەڵەکردن لەگەڵ کە دۆزیوتەتەوە:

Three ways to disclose a vulnerabilityسێ ڕێگەی ئاشکراکردنی
Wayڕێگە	What happensچی ڕوودەدات	Problemکێشە
Private disclosureئاشکراکردنی تایبەت	You tell only the vendor. The vendor decides whether the public ever hears about it.تەنها فرۆشیار ئاگادار دەکەیتەوە. فرۆشیار بڕیار دەدات خەڵک هەرگیز دەبیستێت یان نا.	Some vendors stay silent and never fix.هەندێک فرۆشیار بێدەنگ دەبن و هەرگیز چاکی ناکەن.
Full disclosure	You publish all the details at once, before a fix exists.یەکسەر هەموو وردەکارییەکان بڵاو دەکەیتەوە، پێش ئەوەی چارەسەر هەبێت.	Attackers can use the hole before users can protect themselves. دەتوانن پێش ئەوەی خۆیان بپارێزن کونەکە بەکار بهێنن.
Responsible (coordinated) disclosure (هەماهەنگکراو)	You report privately, give the vendor time to fix, then the details are published.بە نهێنی ڕاپۆرت دەدەیت، کات دەدەیتە فرۆشیار بۆ چاککردن، پاشان وردەکارییەکان بڵاو دەکرێنەوە.	It needs patience and trust on both sides.پێویستی بە ئارامگرتن و متمانەی هەردوو لا هەیە.

Quick checkپشکنینی خێراWhich way gives users a fix before attackers learn the details?کام ڕێگە پێش ئەوەی وردەکارییەکان بزانن چارەسەر دەداتە ؟Selling the detailsفرۆشتنی وردەکارییەکانResponsible (coordinated) disclosureئاشکراکردنی بەرپرسیارانە (هەماهەنگکراو)Full disclosureئاشکراکردنی تەواو

Responsible disclosureئاشکراکردنی بەرپرسیارانە

Definitionپێناسە

Reporting a privately to the organisation that can fix it and giving it time to release a before the details are made public. Today it is usually called coordinated vulnerability disclosure.

بریتییە لە ڕاپۆرتدانی بە نهێنی بۆ ئەو دامەزراوەیەی دەتوانێت چاکی بکات و پێدانی کات پێی بۆ ئەوەی بڵاو بکاتەوە پێش ئەوەی وردەکارییەکان ئاشکرا بکرێن. ئەمڕۆ زۆرجار پێی دەوترێت «ئاشکراکردنی هەماهەنگکراوی خاڵی لاواز».

Responsible disclosure is the practice of reporting a vulnerability to the affected parties so they can fix it before it is made public. Lecture 4 says the same in one line: report the vulnerability to the affected vendor, with time to patch it, before public release.

بریتییە لە ڕاپۆرتدانی بەو لایەنانەی کاریگەرییان لەسەرە، بۆ ئەوەی پێش ئاشکرابوونی چاکی بکەن. وانەی چوارەم هەمان شت بە یەک دێڕ دەڵێت: ڕاپۆرتی بدە بە فرۆشیاری پەیوەندیدار و کاتی پێ بدە، پێش بڵاوکردنەوەی گشتی.

Two ideas sit behind it. Responsibility: if weak points become public, who answers for the harm? The finder must not be the one who opened the door for attackers. Cooperation: researchers and the people in charge of companies, organisations and institutions must work together to protect users. This cooperation is what keeps the risk to users as small as possible.

دوو بیرۆکە لە پشتییەوەن. بەرپرسیارێتی: ئەگەر ئاشکرا بوون، کێ وەڵامی زیانەکە دەداتەوە؟ دۆزەرەوەکە نابێت ئەو کەسە بێت کە دەرگای بۆ کردەوە. هاوکاری: توێژەران و بەرپرسانی کۆمپانیا، ڕێکخراو و دامەزراوەکان دەبێت پێکەوە کار بکەن بۆ پاراستنی . ئەم هاوکارییە ئەوەیە کە سەر بە کەمترین ئاست دەهێڵێتەوە.

Today most experts call it coordinated vulnerability disclosure (CVD). CERT/CC, one of the oldest coordination centres, describes CVD as collecting information from the people who find vulnerabilities, coordinating how it is shared among everyone involved, and disclosing the vulnerabilities and their fixes to them and to the public. 'Coordinated' says the important part: finder, vendor and sometimes a coordinator agree on the timing together.

ئەمڕۆ زۆربەی شارەزایان پێی دەڵێن ئاشکراکردنی هەماهەنگکراوی ⁦(CVD). CERT/CC⁩، کە یەکێکە لە کۆنترین سەنتەرەکانی هەماهەنگی، CVD بەم شێوەیە وەسف دەکات: کۆکردنەوەی زانیاری لەو کەسانەی دەدۆزنەوە، هەماهەنگیکردنی چۆنیەتیی بەشکردنی لە نێوان هەموو لایەنەکاندا و ئاشکراکردنی و چارەسەرەکانیان بۆ ئەوان و بۆ خەڵک. وشەی «هەماهەنگکراو» بەشە گرنگەکە دەڵێت: دۆزەرەوە، فرۆشیار و هەندێک جار هەماهەنگکارێک پێکەوە لەسەر کات ڕێک دەکەون.

Quick checkپشکنینی خێراWhy is responsible disclosure called 'responsible'?بۆچی پێی دەوترێت «بەرپرسیارانە»؟Because the finder takes care that the report does not help attackers before users are protectedچونکە دۆزەرەوەکە ئاگای لێیە ڕاپۆرتەکە پێش پاراستنی بەکارهێنەرەکان یارمەتیی هێرشبەرەکان نەداتBecause only governments may do itچونکە تەنها حکوومەتەکان دەتوانن ئەنجامی بدەنBecause the vendor must pay the finderچونکە فرۆشیار دەبێت پارە بە دۆزەرەوەکە بدات

Full disclosure: fast, but riskyئاشکراکردنی تەواو: خێرا، بەڵام مەترسیدار

Definitionپێناسە

Publishing all the details of a at once, before a fix exists. It warns users fast but also helps attackers, so most researchers prefer .

بریتییە لە بڵاوکردنەوەی یەکسەری هەموو وردەکارییەکانی ، پێش ئەوەی چارەسەرێک هەبێت. بەکارهێنەران بە خێرایی ئاگادار دەکاتەوە بەڵام یارمەتیی دەدات، بۆیە زۆربەی توێژەران بەباشتر دەزانن.

In full disclosure the vulnerability details are made public immediately. Lecture 4 names both sides: it increases the risk of exploitation, but it also raises awareness: users learn at once that they are in danger, and the vendor is pushed to act.

لە دا وردەکارییەکانی یەکسەر ئاشکرا دەکرێن. وانەی چوارەم هەردوو لایەنەکەی دەڵێت: مەترسیی بەکارهێنانی کونەکە زیاد دەکات، بەڵام هۆشیاریش بەرز دەکاتەوە: یەکسەر دەزانن لە مەترسیدان و فرۆشیار ناچار دەکرێت کار بکات.

Full and coordinated disclosure side by side و ئاشکراکردنی هەماهەنگکراو لە تەنیشت یەک
Questionپرسیار	Full disclosure	Coordinated disclosureئاشکراکردنی هەماهەنگکراو
When are details public?وردەکارییەکان کەی ئاشکرا دەبن؟	At onceیەکسەر	After the fix, or after an agreed deadlineدوای چاککردن، یان دوای ماوەیەکی ڕێککەوتوو
Can attackers use it before a fix?ئایا دەتوانن پێش چاککردن بەکاری بهێنن؟	Yesبەڵێ	Much less likelyزۆر کەمتر ئەگەری هەیە
Pressure on the vendorفشار لەسەر فرۆشیار	Very highزۆر بەرز	A deadline gives steady pressureماوەیەکی دیاریکراو فشارێکی بەردەوام دروست دەکات
When is it used today?ئەمڕۆ کەی بەکار دێت؟	Rarely: when a vendor ignores reports, or when attackers are already using the holeبە دەگمەن: کاتێک فرۆشیار گوێ بە ڕاپۆرتەکان نادات، یان پێشتر کونەکە بەکار دەهێنن	The normal, recommended wayڕێگە ئاسایی و پێشنیارکراوەکە

Quick checkپشکنینی خێراA vendor has ignored a researcher's private reports for a year, and criminals have started using the hole. Which choice becomes more reasonable?فرۆشیارێک ساڵێکە گوێ بە ڕاپۆرتە نهێنییەکانی توێژەرێک نادات و تاوانکاران دەستیان بە بەکارهێنانی کونەکە کردووە. کام هەڵبژاردە گونجاوتر دەبێت؟Staying silent for another yearساڵێکی تر بێدەنگ بوونPublishing a warning with ways to stay safe, often through a coordinatorبڵاوکردنەوەی ئاگادارییەک لەگەڵ ڕێگەکانی سەلامەت مانەوە، زۆرجار لە ڕێگەی هەماهەنگکارێکەوەSelling the detailsفرۆشتنی وردەکارییەکان

Deadlines: Project Zero's $90 + 30$ daysکۆتا وادەکان: $90 + 30$ ڕۆژی ⁦Project Zero⁩

The notes' example: Google's Project Zero gives companies 90 days to patch before publicising the vulnerability. Project Zero is a Google team that hunts for vulnerabilities in software made by many companies (and in Google's own). When it finds a security problem, it tells the software's owner, a company or a single person, and gives 90 days, about three months, to fix it.

نموونەی تێبینییەکان: ⁦Project Zero⁩ـی گووگڵ ٩٠ ڕۆژ دەداتە کۆمپانیاکان بۆ ئامادەکردنی پێش ئاشکراکردنی . ⁦Project Zero⁩ تیمێکی گووگڵە کە بەدوای دەگەڕێت لە زۆر کۆمپانیادا (و لە هی گووگڵ خۆیشیدا). کاتێک کێشەیەکی دەدۆزێتەوە، خاوەنی ئاگادار دەکاتەوە، کۆمپانیا بێت یان تاکە کەسێک و ٩٠ ڕۆژ، واتە نزیکەی سێ مانگ، مۆڵەتی دەداتێ بۆ چاککردن.

The full policy:

90 + 30

سیاسەتە تەواوەکە:

90 + 30

The notes stop at '90 days'. Project Zero's current policy is $90 + 30$ . If the vendor ships a fix within 90 days, the technical details are published 30 days after the fix, so users have time to update. If there is no fix by day 90, the details are published on day 90. The notes' Kurdish footnote says the aim of publishing is to show that the vendor does not care about its users; Project Zero's stated aim is rather to make fixes arrive faster and to let users and defenders protect themselves.

تێبینییەکان لە «٩٠ ڕۆژ»دا دەوەستن. سیاسەتی ئێستای ⁦Project Zero⁩ بریتییە لە $90 + 30$ . ئەگەر فرۆشیار لە ماوەی ٩٠ ڕۆژدا چارەسەرێک بڵاو بکاتەوە، وردەکارییە تەکنیکییەکان ٣٠ ڕۆژ دوای چارەسەرەکە بڵاو دەکرێنەوە، بۆ ئەوەی کاتی نوێکردنەوەیان هەبێت. ئەگەر تا ڕۆژی ٩٠ چارەسەر نەبوو، وردەکارییەکان لە ڕۆژی ٩٠دا بڵاو دەکرێنەوە. پەراوێزە کوردییەکەی تێبینییەکان دەڵێت مەبەستی بڵاوکردنەوە ئەوەیە پیشان بدرێت فرۆشیار گوێ بە نادات؛ بەڵام مەبەستی ڕاگەیەندراوی ⁦Project Zero⁩ زیاتر ئەوەیە چاککردنەکان خێراتر بێن و و بەرگریکاران بتوانن خۆیان بپارێزن.

The rule in one line, and two exceptionsیاساکە بە یەک دێڕ و دوو بەدەرکراو

P = \begin{cases} F + 30, & F \le 90 \\ 90, & F > 90 \end{cases}

Two exceptions change the dates. A vendor that will have a fix within 14 more days may ask for a grace period; the details then come out on day 120. If attackers are already exploiting the bug against real users, the deadline is only 7 days (a fix inside those 7 days still gets the 30-day wait). Since July 2025 Project Zero has also run a transparency trial: soon after reporting, it lists each new report's vendor, product, date and deadline, but no technical details.

دوو بەدەرکراو ڕێکەوتەکان دەگۆڕن. فرۆشیارێک کە لە ماوەی ١٤ ڕۆژی تردا چارەسەری دەبێت دەتوانێت داوای ماوەی زیادە بکات؛ ئەوکات وردەکارییەکان لە ڕۆژی ١٢٠دا بڵاو دەکرێنەوە. ئەگەر ئێستا کونەکە دژی بەکار دەهێنن، کۆتا وادە تەنها ٧ ڕۆژە (چارەسەرێک لە ناو ئەو ٧ ڕۆژەدا هێشتا ٣٠ ڕۆژی چاوەڕوانیی دوای خۆی هەیە). لە تەممووزی ٢٠٢٥ەوە ⁦Project Zero⁩ تاقیکردنەوەیەکی ڕوونیش دەکات: زوو دوای ناردنی هەر ڕاپۆرتێکی نوێ، فرۆشیار، بەرهەم، ڕێکەوت و کۆتا وادەکەی لە لیستێکدا دادەنێت، بەڵام هیچ وردەکارییەکی تەکنیکی نا.

Project Zero's deadlines in three casesماوە دیاریکراوەکانی ⁦Project Zero⁩ لە سێ حاڵەتداCêIT

Quick checkپشکنینی خێراProject Zero finds a bug that criminals are already using against real users. The vendor has not fixed it by day 7. What happens?⁦Project Zero⁩ باگێک دەدۆزێتەوە کە تاوانکاران ئێستا دژی بەکاری دەهێنن. فرۆشیار تا ڕۆژی ٧ چاکی نەکردووە. چی ڕوودەدات؟Project Zero waits the normal 90 days⁦Project Zero⁩ چاوەڕێی ٩٠ ڕۆژە ئاساییەکە دەکاتThe details are published after the 7-day deadlineوردەکارییەکان دوای کۆتا وادەی ٧ ڕۆژەکە بڵاو دەکرێنەوەNothing is ever publishedهەرگیز هیچ شتێک بڵاو ناکرێتەوە

A vulnerability's journeyگەشتی خاڵێکی لاواز

Here is the whole road of a well-handled vulnerability, from the moment it is found to the moment everyone can read about it. The animation follows one bug in a fictional online shop, Shilan Shop.

ئەمە هەموو ڕێگەی باش مامەڵەکراوە، لەو ساتەی دەدۆزرێتەوە تا ئەو ساتەی هەموو کەس دەتوانێت دەربارەی بخوێنێتەوە. ئەنیمەیشنەکە بەدوای لە فرۆشگایەکی سەرهێڵی خەیاڵیدا دەچێت، بە ناوی فرۆشگای شیلان.

Animation in seven steps. A researcher finds a bug in Shilan Shop's website. She opens /.well-known/security.txt and finds the security contact. She sends a private, encrypted report. The shop confirms the bug and releases a patch; a CVE ID is reserved. Customers update. The shop publishes an advisory that thanks the researcher and pays a bug bounty. Last frame: if the vendor never answers, a CERT acts as the coordinator. — From discovery to public disclosureلە دۆزینەوەوە بۆ ئاشکراکردنی گشتیCêIT

Findدۆزینەوە
A researcher finds the bug, legally: in a bug bounty's scope, in her own copy of the software, or while using the site normally.
توێژەرێک بە شێوەی یاسایی دەدۆزێتەوە: لە ناو سنووری ، لە کۆپییەکی خۆیدا، یان لە کاتی بەکارهێنانی ئاسایی .
Find the contactدۆزینەوەی پەیوەندی
She looks for the vendor's security contact: a security.txt file or a disclosure policy page.
بەدوای پەیوەندیی فرۆشیاردا دەگەڕێت: فایلی security.txt یان پەڕەی .
Report privatelyڕاپۆرتی نهێنی
She sends a clear report: what is wrong, where, how to reproduce it safely, and its possible impact. No public posts.
ڕوون دەنێرێت: چی هەڵەیە، لە کوێ، چۆن بە سەلامەتی دووبارە دەکرێتەوە و کاریگەرییە ئەگەرییەکەی. هیچ بڵاوکردنەوەیەکی گشتی نییە.
Confirm and fixپشتڕاستکردنەوە و چاککردن
The vendor confirms, fixes and tests a patch. A CVE ID is reserved for it.
فرۆشیار پشتڕاستی دەکاتەوە، چاکی دەکات و تاقی دەکاتەوە. ناسنامەیەکی بۆی دیاری دەکرێت.
Users updateبەکارهێنەرەکان نوێ دەکەنەوە
The patch is released and users install it.
بڵاو دەکرێتەوە و دایدەمەزرێنن.
Publish and creditبڵاوکردنەوە و سوپاس
An advisory is published with the affected and fixed versions, and the researcher is thanked (and paid, if there is a bug bounty).
ئاگادارییەک بڵاو دەکرێتەوە لەگەڵ وەشانە زیانلێکەوتوو و چاککراوەکان و سوپاسی توێژەرەکە دەکرێت (و پارەی پێ دەدرێت، ئەگەر هەبێت).

Quick checkپشکنینی خێراWhat should the researcher do right after finding the right contact?توێژەرەکە دوای دۆزینەوەی پەیوەندیی دروست یەکسەر چی بکات؟Post a video of the bug to warn peopleڤیدیۆی باگەکە بڵاو بکاتەوە بۆ ئاگادارکردنەوەی خەڵکTest other customers' accounts to prove itهەژماری کڕیارانی تر تاقی بکاتەوە بۆ سەلماندنSend a clear, private reportڕاپۆرتێکی ڕوون و نهێنی بنێرێت

Finding the right door: security.txt and disclosure policiesدۆزینەوەی دەرگای ڕاست: ⁦security.txt⁩ و سیاسەتەکانی ئاشکراکردن

The hardest step is often the second one: whom do I tell? An e-mail to 'info@' may be lost, and calling a random employee can look like a threat. RFC 9116 (2022) gives a simple answer: an organisation puts a small text file at a fixed address on its website, /.well-known/security.txt, that says where to send security reports.

قورسترین هەنگاو زۆرجار هەنگاوی دووەمە: کێ ئاگادار بکەمەوە؟ بۆ «info@» لەوانەیە ون بێت و پەیوەندیکردن بە کارمەندێکی هەڕەمەکی دەکرێت وەک هەڕەشە دەربکەوێت. ⁦RFC 9116⁩ (٢٠٢٢) وەڵامێکی سادە دەدات: ڕێکخراوێک فایلێکی دەقیی بچووک لە ناونیشانێکی جێگیری دادەنێت، /.well-known/security.txt، کە دەڵێت بۆ کوێ بنێردرێن.

A security.txt file (fictional shop)فایلێکی ⁦security.txt⁩ (فرۆشگایەکی خەیاڵی)/.well-known/security.txtTEXT

Contact: mailto:security@shilanshop.example
Contact: https://shilanshop.example/report-a-bug
Expires: 2027-09-30T23:00:00z
Encryption: https://shilanshop.example/pgp-key.txt
Policy: https://shilanshop.example/disclosure-policy
Acknowledgments: https://shilanshop.example/thanks
Preferred-Languages: en, ckb

Explain the codeڕوونکردنەوەی کۆدەکە

Lineدێڕی 1-2

Contact (required): where to send reports, in order of preference. It may appear more than once.

Contact (پێویستە): بۆ کوێ بنێردرێن، بە ڕیزی پێشەنگی. دەکرێت زیاتر لە جارێک بێت.

Lineدێڕی 3

Expires (required, once): after this date the file is out of date, so nobody trusts an old address.

Expires (پێویستە، یەک جار): دوای ئەم ڕێکەوتە فایلەکە کۆن دەبێت، بۆ ئەوەی کەس متمانە بە ناونیشانێکی کۆن نەکات.

Lineدێڕی 4-7

Optional: a key for encrypted reports, the disclosure policy, a thank-you page, and the languages the team reads.

هەڵبژاردەیی: کلیلێک بۆ شفرەکراو، سیاسەتی ئاشکراکردن، پەڕەی سوپاس و ئەو زمانانەی تیمەکە دەیانخوێنێتەوە.

The file must be served over HTTPS, and the RFC recommends signing it so readers can check it is genuine. The Policy line points to the organisation's vulnerability disclosure policy (VDP): a public page that says what researchers may test, how to report, how fast the team answers, and that good-faith reporters will not be sued. A VDP usually pays no money; a bug bounty does.

فایلەکە دەبێت لە ڕێگەی HTTPSـەوە بنێردرێت و RFCـەکە پێشنیار دەکات واژۆی دیجیتاڵی بکرێت بۆ ئەوەی خوێنەران بپشکنن ڕاستەقینەیە. دێڕی Policy ئاماژە بە ⁦(VDP)⁩ـی ڕێکخراوەکە دەکات: پەڕەیەکی گشتی کە دەڵێت توێژەران چی تاقی بکەنەوە، چۆن ڕاپۆرت بدەن، تیمەکە بە چ خێراییەک وەڵام دەداتەوە و سکاڵا لە ڕاپۆرتدەرانی نیازپاک تۆمار ناکرێت. VDP زۆرجار پارە نادات؛ دەیدات.

Definitionپێناسە

A public page where an organisation tells researchers how to report a to it, what they may test, how it will answer, and that it will not take legal action against good-faith reporters. Unlike a , it usually pays no money.

پەڕەیەکی گشتییە کە دامەزراوەیەک تێیدا بە توێژەران دەڵێت چۆن ڕاپۆرتی بدەن، چی تاقی بکەنەوە، چۆن وەڵام دەداتەوە و سکاڵای یاسایی لە ڕاپۆرتدەرانی نیازپاک ناکات. بە پێچەوانەی ، زۆرجار هیچ پارەیەک نادات.

CVE: one name for each vulnerabilityCVE: یەک ناو بۆ هەر خاڵێکی لاواز

Definitionپێناسە

A public list that gives each known a unique ID, such as CVE-2017-5638, so that vendors, scanners and news all talk about the same flaw.

لیستێکی گشتییە کە ناسنامەیەکی تایبەت دەدات بە هەر ناسراو، وەک ⁦CVE-2017-5638⁩، بۆ ئەوەی دروستکەران، ئامرازەکانی پشکنین و هەواڵەکان هەموو باسی هەمان کێشە بکەن.

When a vulnerability is published, everyone needs to know they are talking about the same problem. The CVE Program (Common Vulnerabilities and Exposures) identifies, defines and catalogues publicly disclosed vulnerabilities: there is one CVE Record for each vulnerability. Each record has an ID such as CVE-2021-44228: the year it was assigned, then a number. That one is Log4Shell, a flaw in the Apache Log4j2 logging library, published on 10 December 2021 with the highest severity score, 10.0.

کاتێک بڵاو دەکرێتەوە، هەموو کەس پێویستە بزانێت باسی هەمان کێشە دەکەن. بەرنامەی ⁦(Common Vulnerabilities and Exposures)⁩ هەر کە بە ئاشکرا بڵاو کرابێتەوە دەناسێنێت، پێناسە دەکات و پۆلێن دەکات: بۆ هەر یەک تۆماری CVE هەیە. هەر تۆمارێک ناسنامەیەکی وەک ⁦CVE-2021-44228⁩ـی هەیە: ئەو ساڵەی دیاری کراوە، پاشان ژمارەیەک. ئەمەیان ⁦Log4Shell⁩ـە، کەموکورتییەک لە کتێبخانەی تۆمارکردنی ⁦Apache Log4j2⁩، کە لە ١٠ی کانوونی یەکەمی ٢٠٢١دا بە بەرزترین نمرەی مەترسی، ١٠.٠، بڵاو کرایەوە.

IDs are given by CVE Numbering Authorities (CNAs): organisations around the world, many of them software vendors, each allowed to number the vulnerabilities in its own area. The program was started in 1999 by the non-profit MITRE, and it is sponsored by the US agency CISA. In a coordinated disclosure, the vendor or the coordinator reserves the ID before publication, so the advisory, the patch notes and the security tools all use the same name. How CVE IDs are then used to find and patch systems is taught in CVE IDs: following one flaw through its life.

ناسنامەکان لەلایەن دەسەڵاتەکانی ژمارەدانی CVE ⁦(CNA)⁩ـەوە دەدرێن: ڕێکخراوی جۆراوجۆر لە سەرانسەری جیهان، زۆربەیان فرۆشیاری ، کە هەریەکەیان ڕێگەی پێدراوە ناوچەی خۆی ژمارە بدات. بەرنامەکە لە ١٩٩٩دا لەلایەن ڕێکخراوی ناقازانجیی MITREـەوە دەستی پێکرد و دەزگای ئەمریکیی CISA پاڵپشتیی دەکات. لە ئاشکراکردنی هەماهەنگکراودا، فرۆشیار یان هەماهەنگکار پێش بڵاوکردنەوە ناسنامەکە دیاری دەکات، بۆ ئەوەی ئاگادارییەکە، تێبینییەکانی و ئامرازەکانی هەموویان هەمان ناو بەکار بهێنن. چۆنیەتیی بەکارهێنانی ناسنامەکانی CVE بۆ دۆزینەوە و سیستەمەکان لە ناسنامەکانی CVE: بەدواداچوونی یەک کێشە بە درێژایی ژیانی فێر دەبیت.

Quick checkپشکنینی خێراTwo security tools report 'CVE-2021-44228' on the same server. What does that tell you?دوو ئامرازی لەسەر هەمان ڕاپۆرتی «⁦CVE-2021-44228⁩» دەدەن. ئەمە چیت پێ دەڵێت؟They mean the same, already-published vulnerability (Log4Shell)مەبەستیان هەمان خاڵی لاوازی پێشتر بڵاوکراوەیە ⁦(Log4Shell)⁩They found two different problemsدوو کێشەی جیاوازیان دۆزیوەتەوەThe server was attacked in 2021ڕاژەکارەکە لە ٢٠٢١دا هێرشی کرایە سەر

When nobody answers: CERTs and coordinatorsکاتێک کەس وەڵام ناداتەوە: CERT و هەماهەنگکاران

The lecture's advice: if the organisation has no clear reporting process, report the vulnerability to a cybersecurity mediator or a CERT (Computer Emergency Response Team) that can act as an intermediary. A CERT knows how to reach vendors, can check the report, and speaks for the researcher, so the researcher does not have to deal with an angry company alone.

ئامۆژگاریی وانەکە: ئەگەر ڕێکخراوەکە پرۆسەیەکی ڕوونی ڕاپۆرتدانی نەبوو، ڕاپۆرتی بدە بە ناوبژیوانێکی یان (تیمی وەڵامدانەوەی فریاکەوتنی کۆمپیوتەر) کە دەتوانێت ببێتە ناوەند. دەزانێت چۆن بگاتە فرۆشیاران، دەتوانێت بپشکنێت و لە جیاتی توێژەرەکە قسە دەکات، بۆ ئەوەی توێژەرەکە بە تەنها ڕووبەڕووی کۆمپانیایەکی تووڕە نەبێتەوە.

Definitionپێناسە

A team that receives reports of cyber incidents and , helps victims respond and shares warnings. Many countries have a national CERT, which can also pass a researcher's report to an organisation that has no security contact.

تیمێکە کە ڕاپۆرتی ڕووداوە سایبەرییەکان و وەردەگرێت، یارمەتیی قوربانییان دەدات بۆ وەڵامدانەوە و ئاگادارکردنەوە بڵاو دەکاتەوە. زۆر وڵات CERTـی نیشتیمانییان هەیە کە دەتوانێت ڕاپۆرتی توێژەرێک بگەیەنێتە دامەزراوەیەک کە هیچ پەیوەندییەکی بۆ کێشەکانی ئاسایش نییە.

Quick checkپشکنینی خێراA clinic has no security.txt, no disclosure page, and has ignored two e-mails. What is the best next step?نەخۆشخانەیەک ⁦security.txt⁩ و پەڕەی ئاشکراکردنی نییە و گوێی بە دوو نەداوە. باشترین هەنگاوی دواتر چییە؟Keep testing to find more proofبەردەوام بە لە تاقیکردنەوە بۆ دۆزینەوەی بەڵگەی زیاترPost the bug onlineباگەکە لە سەرهێڵ بڵاو بکەرەوەAsk a CERT to act as the coordinatorداوا لە CERTـێک بکە ببێتە هەماهەنگکار

Coordinators: the US, Europe and Iraqهەماهەنگکاران: ئەمریکا، ئەوروپا و عێراق

United States: CISA. Anyone can report through CISA's system. CISA contacts the vendor, checks the details, helps get a CVE ID and publishes an advisory. If the vendor does not respond, CISA may publish as early as 45 days after its first attempt to contact it, even without a patch.
European Union: under the NIS2 directive each country names a national CSIRT as its coordinator for vulnerability disclosure, and ENISA, the EU's cybersecurity agency, runs a European Vulnerability Database (EUVD) for published vulnerabilities.
Iraq: the government's Cyber Events Response Team, IQ-CERT, is listed by the UN's Cyber Policy Portal as Iraq's national CERT, set up in 2018. Its website did not open in October 2026, and we found no public page saying whether members of the public can report vulnerabilities to it. A researcher in Iraq or the Kurdistan Region can first try the vendor's own contact, then a national CERT, or an international coordinator such as CISA for products used worldwide.

ئەمریکا: CISA. هەر کەسێک دەتوانێت لە ڕێگەی سیستەمی CISAـەوە ڕاپۆرت بدات. CISA پەیوەندی بە فرۆشیارەوە دەکات، وردەکارییەکان دەپشکنێت، یارمەتیی وەرگرتنی ناسنامەی دەدات و ئاگادارییەک بڵاو دەکاتەوە. ئەگەر فرۆشیار وەڵام نەداتەوە، CISA دەتوانێت زووترین ٤٥ ڕۆژ دوای یەکەم هەوڵی پەیوەندیکردن بڵاوی بکاتەوە، تەنانەت بەبێ .
یەکێتیی ئەوروپا: بەپێی ڕێنمایی ⁦NIS2⁩، هەر وڵاتێک CSIRTـێکی نیشتیمانی دیاری دەکات وەک هەماهەنگکاری ئاشکراکردنی و ENISA، دەزگای یەکێتیی ئەوروپا، بنکەدراوەیەکی ئەوروپی ⁦(EUVD)⁩ بەڕێوە دەبات کە هەر بڵاو کرابێتەوە تێیدا تۆمار دەکرێت.
عێراق: تیمی وەڵامدانەوەی ڕووداوە سایبەرییەکانی حکوومەت، ⁦IQ-CERT⁩، لە دەروازەی سیاسەتی سایبەریی نەتەوە یەکگرتووەکاندا وەک نیشتیمانیی عێراق تۆمار کراوە کە لە ٢٠١٨دا دامەزراوە. لە تشرینی یەکەمی ٢٠٢٦دا نەدەکرایەوە. هیچ پەڕەیەکی گشتیمان نەدۆزییەوە کە بڵێت ئایا خەڵکی ئاسایی دەتوانن پێی ڕابگەیەنن یان نا. توێژەرێک لە عێراق یان هەرێمی کوردستان دەتوانێت سەرەتا پەیوەندیی خودی فرۆشیار تاقی بکاتەوە، پاشان نیشتیمانی، یان هەماهەنگکارێکی نێودەوڵەتیی وەک CISA بۆ ئەو بەرهەمانەی لە هەموو جیهاندا بەکار دێن.

Quick checkپشکنینی خێراA vendor does not answer CISA after CISA first tries to contact it. What may CISA do?فرۆشیارێک دوای یەکەم هەوڵی پەیوەندیکردنی CISA وەڵامی CISA ناداتەوە. CISA چی دەتوانێت بکات؟Publish an advisory as early as 45 days after that first attempt, even without a patchزووترین ٤٥ ڕۆژ دوای ئەو یەکەم هەوڵە ئاگادارییەک بڵاو بکاتەوە، تەنانەت بەبێ پینەNothing, until the vendor agreesهیچ، هەتا فرۆشیار ڕازی دەبێتPublish the full attack details on day oneلە ڕۆژی یەکەمدا هەموو وردەکارییەکانی هێرشەکە بڵاو بکاتەوە

Bug bountiesخەڵاتی دۆزینەوەی باگ

Definitionپێناسە

A programme in which a company pays a reward to outside researchers who find in its systems and report them privately, following published rules about what may be tested.

بەرنامەیەکە کە تێیدا کۆمپانیایەک خەڵات دەدات بەو توێژەرە دەرەکییانەی لە سیستەمەکانیدا دەدۆزنەوە و بە نهێنی ڕاپۆرتیان دەدەن، بەپێی ڕێسایەکی بڵاوکراوە کە دیاری دەکات چی دەتوانرێت تاقی بکرێتەوە.

Two English words first. A bug is a problem or mistake in software; a security hole is a bug that an attacker can use. A bounty is a reward, usually money. So a bug bounty is a reward that a company pays to people, usually ethical (white-hat) hackers and security researchers, who find problems in its website, app or software, especially security holes, and report them.

سەرەتا دوو وشەی ئینگلیزی. کێشە یان هەڵەیەکە لە ؛ کونی (security hole) کە دەتوانێت بەکاری بهێنێت. bounty واتە خەڵات، زۆرجار پارە. کەواتە خەڵاتێکە کە کۆمپانیایەک دەیدات بەو کەسانەی، زۆرجار و توێژەرانی ، کێشە لە ، یان دەدۆزنەوە (بە تایبەتی کونی ) و ڕاپۆرتیان دەدەن.

The shopkeeper's rewardخەڵاتی دوکاندار

A shopkeeper in the bazaar is not sure whether his shop has a hidden way in: a loose back window, a weak lock on the store room. He tells the bazaar: 'Anyone who finds a secret way into my shop and tells me first, quietly, gets a reward. The more dangerous the way in, the bigger the reward.' Many sharp eyes now help him, and he pays only for real finds.

دوکاندارێک لە بازاڕ دڵنیا نییە دوکانەکەی ڕێگەیەکی شاراوەی هاتنە ژوورەوەی هەیە یان نا: پەنجەرەیەکی شلی پشتەوە، قوفڵێکی لاوازی کۆگا. بە بازاڕ دەڵێت: «هەر کەسێک ڕێگەیەکی نهێنی بۆ ناو دوکانەکەم بدۆزێتەوە و سەرەتا بە بێدەنگی پێم بڵێت، خەڵاتی دەدەمێ. هەتا ڕێگەکە مەترسیدارتر بێت، خەڵاتەکە گەورەترە.» ئێستا چاوی تیژی زۆر یارمەتیی دەدەن و تەنها پارەی دۆزینەوەی ڕاستەقینە دەدات.

Where the analogy stops workingسنووری ئەم نموونەیە

In a real programme the rules also say which doors you may try and how; trying a door that is not on the list is not covered.

لە بەرنامەیەکی ڕاستەقینەدا ڕێساکان ئەوەش دەڵێن کام دەرگا تاقی بکەیتەوە و چۆن؛ تاقیکردنەوەی دەرگایەک کە لە لیستەکەدا نییە ناگیرێتەوە.

Quick checkپشکنینی خێراIn the shopkeeper story, what is the 'bounty'?لە چیرۆکی دوکاندارەکەدا، «خەڵات»ـەکە (bounty) چییە؟A thief who uses the back windowدزێک کە پەنجەرەی پشتەوە بەکار دەهێنێتThe reward he pays for each real way in that is reported to him firstئەو پاداشتەی بۆ هەر ڕێگەیەکی ڕاستەقینەی هاتنە ژوورەوە دەیدات کە سەرەتا بە خۆی ڕاگەیەندرێتThe weak lock on the store roomقوفڵە لاوازەکەی کۆگاکە

Bug bountiesخەڵاتی دۆزینەوەی باگ

How a bug bounty worksخەڵاتی دۆزینەوەی باگ چۆن کار دەکات

How it works: the hacker reports the bug privately to the company; the company checks it, fixes it, and pays a reward that depends on how dangerous the bug is. Big companies such as Google, Apple, Meta and Microsoft, and even banks, run such programmes and invite white-hat hackers to test their systems. Google, for example, paid just under $12 million to more than 600 researchers in 2024, and more than $17 million to 747 researchers in 2025.

چۆن کار دەکات: هاکەرەکە ڕاپۆرتی بە نهێنی دەدات بە کۆمپانیاکە؛ کۆمپانیاکە دەیپشکنێت، چاکی دەکات و خەڵاتێک دەدات کە بەندە بە ئەوەی چەند مەترسیدارە. کۆمپانیا گەورەکانی وەک گووگڵ، ئەپڵ، مێتا و مایکرۆسۆفت و تەنانەت بانکەکانیش ئەم جۆرە بەرنامانە بەڕێوە دەبەن و بانگهێشت دەکەن سیستەمەکانیان تاقی بکەنەوە. بۆ نموونە گووگڵ لە ٢٠٢٤دا کەمێک کەمتر لە ١٢ ملیۆن دۆلاری بە زیاتر لە ٦٠٠ توێژەر داوە و لە ٢٠٢٥دا زیاتر لە ١٧ ملیۆن دۆلاری بە ٧٤٧ توێژەر.

What is new compared with the traditional way? Before, a company relied only on its own staff and perhaps one hired testing firm. With a bug bounty it uses hundreds or thousands of outside testers as well. This is crowdsourcing: getting help from many people around the world, not only from inside the company. In short, companies pay people to find security problems so that they are fixed before criminals find them.

چی نوێیە بە بەراورد لەگەڵ ڕێگە کۆنەکە؟ پێشتر کۆمپانیایەک تەنها پشتی بە کارمەندانی خۆی و لەوانەیە کۆمپانیایەکی تاقیکردنەوەی بەکرێگیراو دەبەست. بە سەدان یان هەزاران تاقیکەری دەرەکیش بەکار دەهێنێت. ئەمە crowdsourcingـە: وەرگرتنی یارمەتی لە خەڵکێکی زۆر لە سەرانسەری جیهان، نەک تەنها لە ناو کۆمپانیاکەوە. بە کورتی، کۆمپانیاکان پارە بە خەڵک دەدەن بۆ دۆزینەوەی کێشەکانی بۆ ئەوەی پێش ئەوەی تاوانکاران بیاندۆزنەوە چاک بکرێن.

This is the white-hat example from the hat table in Cyber Ethics and Ethical Hacking: 'working in Google's bug bounty program' is how curiosity becomes legal work.

ئەمە هەمان نموونەی کڵاو سپییە لە خشتەی کڵاوەکان لە ئەخلاقی سایبەری و هاککردنی ئەخلاقی: «کارکردن لە گووگڵدا» ئەو ڕێگەیەیە کە حەزی گەڕان دەکاتە کارێکی یاسایی.

Quick checkپشکنینی خێراWhy does a company pay outsiders instead of only trusting its own team?بۆچی کۆمپانیایەک پارە بە کەسانی دەرەکی دەدات لە جیاتی ئەوەی تەنها متمانە بە تیمەکەی خۆی بکات؟Because its own team is not allowed to testچونکە تیمەکەی خۆی ڕێگەی پێنەدراوە تاقی بکاتەوەMany different eyes find bugs the team missed, and the company pays only for real findsچاوی جیاوازی زۆر باگێکی وا دەدۆزنەوە کە تیمەکە نەیبینیوە و کۆمپانیاکە تەنها پارەی دۆزینەوەی ڕاستەقینە دەداتTo make the bugs public fasterبۆ ئەوەی باگەکان خێراتر ئاشکرا بکرێن

Bug bountiesخەڵاتی دۆزینەوەی باگ

Platforms, programmes and scopeپلاتفۆرم، بەرنامە و سنوور

Many companies run their programmes through platforms such as HackerOne and Bugcrowd. The platform hosts the rules, receives the reports, helps the company check them, and pays the researchers. The lecture names HackerOne as a recognised place to report through.

زۆر کۆمپانیا بەرنامەکانیان لە ڕێگەی پلاتفۆرمی وەک HackerOne و Bugcrowdـەوە بەڕێوە دەبەن. پلاتفۆرمەکە ڕێساکان دادەنێت، وەردەگرێت، یارمەتیی کۆمپانیاکە دەدات بیانپشکنێت و پارە بە توێژەران دەدات. وانەکە HackerOne وەک شوێنێکی ناسراو بۆ ڕاپۆرتدان ناو دەهێنێت.

The words of bug bounty programmesوشەکانی بەرنامەکانی
Wordوشە	Meaningواتا
Bug bounty programme	Pays rewards for valid, previously unknown vulnerabilities. Duplicates and already-known issues are not paid.پاداشت دەدات بۆ هەر دروست و پێشتر نەناسراو. ڕاپۆرتی دووبارە و کێشەی پێشتر ناسراو پارەیان پێ نادرێت.
Vulnerability disclosure policy (VDP) ⁦(VDP)⁩	A public channel to report; usually no cash reward.کەناڵێکی گشتی بۆ ڕاپۆرتدان؛ زۆرجار خەڵاتی پارەیی نییە.
Private programmeبەرنامەی تایبەت	Invite-only: a few selected researchers.تەنها بە بانگهێشت: چەند توێژەرێکی هەڵبژێردراو.
Public programmeبەرنامەی گشتی	Any registered researcher may take part.هەر توێژەرێکی تۆمارکراو دەتوانێت بەشداری بکات.
Scope (in / out)سنوور (ناو / دەرەوە)	The list of systems you may test (in scope) and must not touch (out of scope). Findings out of scope are not rewarded and are not protected.لیستی ئەو سیستەمانەی دەتوانیت تاقییان بکەیتەوە (ناو سنوور) و ئەوانەی نابێت دەستیان لێ بدەیت (دەرەوەی سنوور). دۆزینەوەی دەرەوەی سنوور نە خەڵاتی هەیە نە پاراستن.
Severity and rewardئاستی مەترسی و خەڵات	Rewards are set in advance by severity: a critical bug pays far more than a minor one.خەڵاتەکان پێشوەختە بەپێی ئاستی مەترسی دیاری دەکرێن: زۆر مەترسیدار زۆر زیاتر لە بچووک پارەی پێ دەدرێت.

Quick checkپشکنینی خێراAram finds a serious bug in a company's internal system, which the programme lists as out of scope. What is true?ئارام مەترسیدار لە سیستەمی ناوخۆیی کۆمپانیایەکدا دەدۆزێتەوە، کە بەرنامەکە وەک دەرەوەی سنوور ناوی هێناوە. کامە ڕاستە؟He will get the biggest reward because it is seriousگەورەترین خەڵات وەردەگرێت چونکە مەترسیدارەTesting out of scope is not rewarded and not protected by the programme's rulesتاقیکردنەوە لە دەرەوەی سنوور نە خەڵاتی هەیە نە ڕێساکانی بەرنامەکە دەیپارێزنScope does not matter on platformsسنوور لە پلاتفۆرمەکاندا گرنگ نییە

Safe harbour: the researcher's protection and rulesپەناگەی یاسایی: پاراستن و ڕێساکانی توێژەر

Definitionپێناسە

A promise in the rules of a or : research done in good faith and inside the rules is treated as authorised, and the organisation will not take legal action against the researcher. It does not cover testing outside the scope, or extortion.

بەڵێنێکە لە ڕێساکانی یان : ئەو توێژینەوەیەی بە نیازپاکی و لە ناو ڕێساکاندا کراوە بە ڕێگەپێدراو دادەنرێت و دامەزراوەکە سکاڵای یاسایی لە توێژەرەکە تۆمار ناکات. تاقیکردنەوە لە دەرەوەی سنووری دیاریکراو یان داواکردنی پارە بە هەڕەشە ناگرێتەوە.

A good programme does more than pay. It promises not to take legal action against researchers who follow its rules. This promise is called a safe harbour. HackerOne's Gold Standard Safe Harbor (2022), for example, says that good-faith research is treated as authorised, and the organisation will not pursue legal action against researchers who qualify. Good faith means accessing systems only to test, investigate or fix a flaw, avoiding harm, and using what you learn mainly to improve security. It does not cover research done to extort money, and it does not widen the scope.

بەرنامەیەکی باش لە پارەدان زیاتر دەکات. بەڵێن دەدات سکاڵای یاسایی لەو توێژەرانە تۆمار نەکات کە پەیڕەوی ڕێساکانی دەکەن. ئەم بەڵێنە پێی دەوترێت . بۆ نموونە پەناگەی یاسایی ستانداردی ئاڵتوونیی HackerOne (٢٠٢٢) دەڵێت توێژینەوەی نیازپاک وەک ڕێگەپێدراو هەژمار دەکرێت و ڕێکخراوەکە سکاڵای یاسایی لەسەر ئەو توێژەرانە تۆمار ناکات کە مەرجەکانیان تێدایە. نیازپاکی واتە دەستگەیاندن بە سیستەمەکان تەنها بۆ تاقیکردنەوە، لێکۆڵینەوە یان چاککردنی کەموکورتییەک، دوورکەوتنەوە لە زیان و بەکارهێنانی ئەوەی فێری دەبیت بە شێوەیەکی سەرەکی بۆ باشترکردنی . ئەو توێژینەوەیە ناگرێتەوە کە بۆ داواکردنی پارە بە هەڕەشە کراوە و سنوورەکەش فراوان ناکات.

Quick checkپشکنینی خێراA researcher writes to a company: 'Pay me $5,000 or I publish your bug tomorrow.' Is this protected by a safe harbour?توێژەرێک بۆ کۆمپانیایەک دەنووسێت: «٥٠٠٠ دۆلارم بدەنێ یان سبەی بڵاو دەکەمەوە.» ئایا ئەمە دەپارێزێت؟Only if the amount is smallتەنها ئەگەر بڕەکە کەم بێتYes, he found the bug in good faithبەڵێ، باگەکە بە نیازپاکی دۆزیوەتەوەNo: making silence a condition for money is extortion, which safe harbours excludeنەخێر: کردنی بێدەنگی بە مەرجی پارە باجسەندنە، کە پەناگەی یاسایی نایگرێتەوە

Hackers Who Get Paid to Hack Companies | Short DocumentaryCybernews · Englishئینگلیزی · 464K viewsبینین · 15K likesلایک · Partبەشی 3:46–4:47 (ofلە 15:39)
How bug-bounty platforms work: companies set rules, researchers who follow them are rewarded, and safe harbour protects good-faith research.
چۆن کار دەکەن: کۆمپانیاکان ڕێسا دادەنێن، ئەو توێژەرانەی پەیڕەوی دەکەن پاداشت وەردەگرن و توێژینەوەی نیازپاک دەپارێزێت.
Plays 3:46-4:47 only: platforms, rules, rewards and the safe-harbour promise for good-faith research.
تەنها لە ⁦3:46⁩ تا ⁦4:47⁩ پەخش دەبێت: ، ڕێساکان، پاداشتەکان و بەڵێنی بۆ توێژینەوەی نیازپاک.

The researcher's do and don't listلیستی بیکە و مەیکەی توێژەر

The OWASP Vulnerability Disclosure Cheat Sheet gives researchers a clear list:

پەڕەی ئامۆژگارییەکانی OWASP دەربارەی ئاشکراکردنی لیستێکی ڕوون دەداتە توێژەران:

Researcher's do and don't list (after OWASP)لیستی بیکە و مەیکەی توێژەر (بەپێی OWASP)
Doبیکە	Don'tمەیکە
Test only with legal permission, inside the scope and rulesتەنها بە مۆڵەتی یاسایی و لە ناو سنوور و ڕێساکاندا تاقی بکەرەوە	Go out of scope 'just to look'بۆ «تەنها سەیرکردن» لە سنوور دەرچوون
Report through the official channel, with clear steps, evidence and impactلە ڕێگەی کەناڵی فەرمییەوە ڕاپۆرت بدە، بە هەنگاو، بەڵگە و کاریگەریی ڕوون	Demand payment before giving the detailsداواکردنی پارە پێش دانی وردەکارییەکان
Remove (redact) personal data from your report لە لابدە	Make silence a condition for money: that is extortionبێدەنگی بکەیتە مەرجی پارە: ئەوە باجسەندنە
Be patient and professional; agree the publication date with the vendorئارام و پیشەیی بە؛ لەسەر ڕێکەوتی بڵاوکردنەوە لەگەڵ فرۆشیار ڕێک بکەوە	Publish angrily without thinking of the usersبە تووڕەیی بڵاوکردنەوە بێ بیرکردنەوە لە
Check the programme's safe-harbour terms and your local law و مەرجەکانی لە بەرنامەکەدا و یاسای ناوخۆی خۆت بپشکنە	Assume a platform's rules protect you outside their scopeوا دابنێیت ڕێساکانی پلاتفۆرمێک لە دەرەوەی سنوورەکەیان دەتپارێزن

Quick checkپشکنینی خێراWhile testing inside a programme's scope, Dilan sees some customers' personal data. According to the OWASP list, what should she do with it?دیلان لە کاتی تاقیکردنەوە لە ناو سنووری بەرنامەیەکدا هەندێک کڕیاران دەبینێت. بەپێی لیستی OWASP چی لێ بکات؟Remove it from her report and not keep any copyلە ڕاپۆرتی خۆی لای ببات و هیچ کۆپییەکی هەڵنەگرێتAttach it to the report as proofوەک بەڵگە بیخاتە پاڵ ڕاپۆرتەکەPublish a small part so the company acts fasterبەشێکی بچووکی بڵاو بکاتەوە بۆ ئەوەی کۆمپانیاکە خێراتر کار بکات

Worked case: a hole in a hospital's systemنموونەی شیکراوە: کونێک لە سیستەمی نەخۆشخانەیەکدا

The lecture ends with an interactive exercise. A hacker finds a vulnerability in a healthcare system but is not authorised to test it. Should they report it? Discuss the ethical and legal aspects. The next five screens give the lecture's structured answer, checked against today's law.

وانەکە بە ڕاهێنانێکی کارلێک کۆتایی دێت. هاکەرێک لە سیستەمێکی تەندروستیدا دەدۆزێتەوە، بەڵام ڕێگەی پێنەدراوە تاقیی بکاتەوە. ئایا ڕاپۆرتی بدات؟ لایەنە ئەخلاقی و یاساییەکان تاوتوێ بکە. پێنج پەردەی داهاتوو وەڵامە ڕێکخراوەکەی وانەکە دەدەن، کە بەرامبەر یاسای ئەمڕۆ پشکنراوە.